2026-08-10

백업 파일을 암호화해두면 랜섬웨어 데이터 유출 협박에서 정말 안전할까?

예전 랜섬웨어는 단순했습니다. 네트워크의 모든 파일을 잠그고, 열쇠를 넘겨주는 대가로 돈을 요구하는 것. 2026년 기준으로 이건 이미 옛날 방식입니다. 요즘 랜섬웨어 조직들은 몸값 요구서를 띄우기 훨씬 전부터, 아무도 눈치채지 못하는 사이 몇 시간에서 며칠에 걸쳐 조용히 파일을 자기네 서버로 빼돌려 놓습니다 — 나가는 길에 파일을 잠그는 것은 일부 조직에게는 이제 선택 사항이지, 공격의 핵심이 아닙니다. 이 변화는 "파일을 보호한다"는 말이 실제로 무엇을 의미해야 하는지를 바꿔놓았고, 파일 단위 암호화가 정확히 어디까지 도움이 되고 어디서부터는 안 되는지 구체적으로 짚어볼 가치가 있습니다.

랜섬웨어는 이제 잠그기 전에 먼저 훔친다

업계에서는 이를 "이중 협박(double extortion)"이라 부릅니다 — 잠글 수 있는 건 잠그되, 그 전에 먼저 데이터를 빼돌려서 피해자가 백업으로 복구하고 몸값 지급을 거부하더라도 쓸 수 있는 지렛대를 따로 만들어 두는 방식입니다. 이제는 예외가 아니라 기본값입니다. 보안 업체 BlackFog는 2025년 3분기 랜섬웨어 공격의 96%가 데이터 탈취를 동반했다고 보고했고, Mandiant/Google Cloud의 자체 침해 대응 데이터에 따르면 2025년 랜섬웨어 침입 사건의 77%에서 데이터 탈취가 확인되었습니다 — 2024년의 57%보다 늘어난 수치입니다. 한때 공격의 전부였던 "피해자 시스템 암호화"는 이제 아예 생략되고 "이미 당신 파일을 확보했으니, 돈을 내지 않으면 공개하겠다"는 더 단순한 협박만으로 끝나는 경우도 있습니다. 이 방식의 규모는 자체 순위표가 있을 정도로 큽니다 — GuidePoint Security는 2025년 랜섬웨어 조직들의 공개 유출 사이트에 새로 올라온 피해 조직이 7,515곳이라고 집계했는데, 전년의 약 4,750곳보다 58% 늘어난 수치입니다.

백업은 접근 권한을 되돌려줄 뿐, 유출을 되돌리지는 못한다

정기 백업은 여전히 원래 위협 — 잠겨서 못 쓰게 된 네트워크 — 에 대한 올바른 방어입니다. 하지만 두 번째 위협에는 아무 답도 되지 못합니다. 보안업체 Huntress는 자사의 이중 협박 가이드에서 이를 분명히 밝힙니다: "백업은 시스템을 복구해줄 뿐, 데이터 탈취 자체를 되돌리지는 못합니다." 왜냐하면 "백업은 어젯밤에 돌아갔지만, 데이터는 이미 사흘 전에 네트워크를 빠져나갔기" 때문이며, 복구가 시작될 즈음에는 훔쳐간 사본이 "이미 공격자의 서버에 올라가 공개되거나 판매될 준비를 마친" 상태입니다. 같은 가이드는 이 간극을 한 문장으로 요약합니다: "백업은 한 가지 문제만 해결합니다 — 접근 권한을 복구해줄 뿐, 이미 유출되거나 팔린 데이터에는 아무 소용이 없습니다." 백업 복구는 "다시 업무를 볼 수 있는가"에는 답해주지만, "사흘 전에 빠져나간 그 의뢰인 파일, 신분증 스캔본, 계약서가 결국 유출 사이트에 올라갈 것인가"에는 아무 답도 주지 못합니다.

이 위험이 실제로 어디에 걸리는가 — 개인과 소규모 팀의 경우

대기업 사건들이 뉴스 헤드라인을 장식하지만, 같은 메커니즘은 가정용 NAS, 작은 사무실의 공유 드라이브, 클라우드에 동기화해 둔 폴더에도 똑같이 적용됩니다 — 실제 문서 모음이 평문 그대로 한곳에 모여 백업되거나 공유되기를 기다리고 있는 곳이라면 어디든 해당됩니다. 이런 공격이 애초에 노리는 대상이 바로 그런 곳입니다 — 파일 하나가 아니라 폴더 전체, 신분증 스캔본, 서명된 계약서, 재무 기록, 의뢰인 파일까지 한꺼번에 말입니다. 큰 조직에 속해야만 진짜 표적이 되는 것이 아닙니다 — 개인이나 두 명짜리 사업체가 정확히 한 벌의 평문 사본만 가지고 있고, 그 사본을 이런 공격이 정확히 노리도록 설계된 바로 그런 저장 위치에 두고 있는 경우가 오히려 더 흔합니다.

미리 암호화해두면 무엇이 달라지고, 무엇은 달라지지 않는가

훔친 사본이 공격자에게 실제로 쓸모가 있는지를 가르는 단 하나의 변수는, 그 사본이 빠져나가는 순간 읽을 수 있는 상태였는가입니다. 백업 폴더에 평문 파일이 들어 있었다면, 탈취된 사본은 진짜 문서 그 자체입니다 — 유출 협박의 완전한 지렛대로 쓸 수 있습니다. 반대로 그 파일들이 폴더에 복사되기 전에 이미 패스프레이즈만으로 암호화되어 있었다면, 탈취된 사본은 암호문일 뿐입니다 — 파일 근처 어디에도 저장된 적 없는 패스프레이즈 없이는 읽을 수 없습니다. 이는 실제로 구조적인 차이지만, 정직하게 밝혀야 할 조건이 하나 있습니다 — 패스프레이즈가 파일과 같은 기기나 같은 백업 위치에 있어서는 안 되고, 복사가 이루어지기 전에 미리 암호화가 끝나 있어야 한다는 것입니다. 파일을 미리 암호화한다고 해서 랜섬웨어가 기기를 잠그는 것을 막지는 못하고, 아무것도 복구해주지 않으며, 진짜 백업 전략을 대신하지도 않습니다 — 그저 훔쳐간 사본이 훔친 사람에게 얼마나 값어치가 있는지를 바꿔놓을 뿐입니다.

NearSeal이 여기서 하는 역할

NearSeal은 파일을 전적으로 브라우저 안에서 암호화합니다 — 파일도 패스프레이즈도 기기를 벗어나지 않고, 이 과정 어디에도 서버가 없습니다. 파일이 여러 개인 폴더라면 한꺼번에 처리합니다 — 선택한 파일을 모두 암호화한 뒤 결과물을 하나의 ZIP으로 묶어 다운로드하게 해주며, 서로 다른 폴더에서 온 같은 이름의 파일이 있으면 하나가 다른 하나를 조용히 덮어쓰는 대신 "(2)", "(3)"을 붙여 구분합니다. 출력 형식은 두 가지 중에서 고를 수 있습니다 — 기본 NearSeal 컨테이너 (AES-256-GCM, PBKDF2-SHA256 키 유도)이거나, 공개 age-encryption.org 형식(ChaCha20-Poly1305, scrypt)으로, 후자는 이 사이트뿐 아니라 표준 age나 rage CLI로도 열립니다. 둘 다 랜섬웨어 제거 도구도, 백업 제품도, 전체 디스크 암호화도 아닙니다 — 특정 파일에 적용하는 한 겹의 층일 뿐이며, 그 파일들이 담긴 저장 위치가 언젠가 침해당했을 때 훔쳐간 사본이 실제로 얼마나 값어치가 있을지를 정하는 역할을 합니다.